ruby-on-rails - 如何关闭仅适用于JSON的railsprotect_from_forgery过滤器

Question

我有使用Rails3构建的网站，现在我想实现JSON API来访问移动客户端。但是，由于protect_from_forgery筛选器，从客户端发送json发布请求。由于客户端不会从服务器检索任何数据，因此客户端无法接收auth_token，因此我只想对json请求关闭protect_from_forgery选项(我以为rails3在默认情况下会这样做，但显然不会) 。

我知道here讨论了类似的话题，但是在这种情况下，他在发送发布请求之前收到auth_token。

所以我的问题是仅对json关闭protect_from_forgery是这样做的好方法吗？如果是，该怎么办？如果没有，那有什么选择呢？

仅供引用，我使用以下ajax请求

$.ajax({
             type: 'POST',  
             url: "http://www.example.com/login.json",  
             data: { 'email': emailVal, 'password': passwordVal },  
             success: onSuccess,  
             error: onError,  
             dataType: "json"  
});

并且我收到ActionController::InvalidAuthenticityToken错误。

顺便说一句，下面的curl命令虽然可以工作...

curl -H "Content-Type: application/json" -c cookies.txt -d '{"email": emailVal, "password": passwordVal}' -X POST http://www.example.com/login.json -i

Answer 1

您可以跳过真实性 token 检查，如果它是json请求

class ApplicationController < ActionController::Base
  skip_before_filter :verify_authenticity_token, if: :json_request?

  def json_request?
    request.format.json?
  end
end